IP 来实现 policy过 滤，不足： • 一条过滤规则可能需要记录诸 多的CIDR • endpoint身份和 IP 地址耦合， 如 pod 重启后 IP 发生变化， 整集群可能需要同步 信息，刷 新 OVS 流表或者 ipset 规则 • 大规模的 policy ，会一定程度 的影响规则查询的效率，会一 定程度的影响规则更新的时间， 这些都会引入的TPS波动 Cilium policy采用了